0day en Google Chrome

Después de ser anunciado por 3 años consecutivos como el navegador mas seguro en el famoso Pwn2Own, Google Chrome ha caído, los responsables de esta hazaña han sido investigadores de la empresa VUPEN Security, quienes lograron saltar todas las medidas de seguridad implementadas por el navegador. Por mucho tiempo Google Chrome se escondió bajo su caja de arena y las protecciones que le ofrecía el sistema operativo de turno, ASLR, DEP, pero ingenieros de la empresa VUPEN Security, encontraron el eslabón débil en la cadena de chrome, que durante varios años buscaron otros, logrando esquivar todas las protecciones implementadas en el navegador y ejecutar código arbitrario en el sistema de forma totalmente transparente para el usuario. Destaca la limpia ejecución de código en el sistema, con solo visitar un sitio web y sin que el navegador se bloqueara, también el hecho que el fallo pueda ser recreado en sistemas de 32 y 64 Bits sin problemas. Mas Información: Anuncio Oficial en la pagina de...

Leer Más

Google Chrome podría dejar de ser el Navegador más Seguro

Un año después… todo se ha vuelto realidad. Hace poco se publicaron los resultados del Pwn2Own, concurso realizado anualmente durante la conferencia de seguridad informática CanSecWesten, en la cual algunos de los mas reconocidos expertos en seguridad se disputan grandes premios explotando problemas en los sistemas operativos, navegadores y dispositivos móviles mas populares. En esta edición del concurso el navegador Google Chrome, destacó sobre los demás, por ser el único navegador que permaneció en pie frente a los ataques realizados por varios de los mejores expertos de seguridad informática del mundo, quienes no pudieron contra la “caja de arena” puesta por Google en su navegador estrella. Pero esto podría cambiar en poco tiempo…. ¿Porqué Google Chrome podría perder su titulo como navegador mas seguro? Google acaba de publicar en su blog oficial y el de chromium, que integrará de forma nativa, soporte para el plugin de Adobe Flash Player y Adobe Acrobat Reader (catalogado como la aplicacion mas insegura del 2009), 2 de los productos de Adobe con mas vulnerabilidades criticas encontradas y causantes de un gran numero de las infecciones por malware en equipos con Microsoft Windows. ¿Que opinan los expertos? Charlie Miller, famoso por ser la primera persona en hackear un iPhone y sus triunfos consecutivos en el concurso Pown2Own afirma que Google Chrome o Internet Explorer 8 sobre Windows 7 es la combinación mas segura para navegar en internet, siempre y cuando no tengan Flash instalado. Steve Jobs, dejando a un lado los intereses que tiene Jobs para no incorporar flash en sus dispositivos (todos sabemos que no lo hace por que muchos desarrolladores podrían crear aplicaciones sin pasar por su AppStore), el fundador de Apple ha reiterado en varias ocasiones que Flash no sólo consume gran parte de las recursos de la CPU y es una fuente de agujeros de seguridad, sino también se trata de una tecnología en proceso de obsolescencia. Forbes, esta prestigiosa revista estadounidense, catalogó a Adobe Acrobat Reader y Adobe Flash Player como las aplicaciones mas hackeadas del año 2009, que junto a otras aplicaciones forman la puerta de entrada para la mayoría del software malicioso instalado en equipos de escritorio. Yo personalmente pienso que es una mala decisión de Google incorporar aplicaciones de terceros que han demostrado con el tiempo la cantidad de fallos de seguridad que contienen, a no ser que ellos mismos se encarguen de asegurar el código de estas aplicaciones (lo cual no creo que pase), de todas formas la decisión de activar o no estos plugins son nuestras, ya que la primera vez que iniciemos Google Chrome nos preguntara si aceptamos los términos y habilitamos estos...

Leer Más

Secuestro de Frames Inocentes

Todos los trucos mágicos tratan sobre sugestión, psicología y espectacularidad, o tal vez como diría Cutter, cada truco de magia consta de 3 partes: la prenda (donde el mago muestra algo ordinario), la conversión (donde lo ordinario se convierte en algo extraordinario), y el prestigio (donde lo extraordinario se convierte en algo nunca antes visto). De una forma similar, en el mundo real las brechas de seguridad son una combinación de características que a menudo encontrarás en las ejecuciones de habilidosos magos. Por eso, permíteme presentarte una forma simplista de ataque, tal vez tan simple que, de hecho, podría funcionar mucho mas a menudo de lo que admitimos, la cual usa habilidosamente sugestión, psicología y una gran dosis de espectacularidad. Todos hemos escuchado sobre clickjacking y sabemos que es un bug de diseño y por consiguiente es dificil tratar con el. Sin embargo, ¿Hay otras áreas defectuosas de los navegadores modernos que puedan ser abusadas? Por supuesto, las hay. Solo que toma su tiempo encontrarlas todas porque por lo general estan tan bien ocultas bajo nuestras creencias comunes, prejuicios e ignorancia. Veamos este código: <html> <body> <script> function clickme() { var w = window.open('http://www.google.com'); setTimeout(function () { w.location = 'http://www.dragonjar.org'; }, 5000); } </script> <input type="button" value="click me" onclick="clickme(this)"/> </body> </html> Bastante aburrido! Estoy de acuerdo. Primero que todo el usuario hace clic en el enlace/botón. Después una nueva ventana/pestaña se abre la cual carga el contenido de http://www.google.com. 5 segundos mas tarde la nueva ventana abierta precarga el contenido de http://www.dragonjar.org. ¿Perturbante este código? Creo que si. Es perturbante porque se rompe la relación de confianza que hay entre el usuario y google.com en este ejemplo específico. Llámalo surfjacking, framejacking, tabjacking o como quieras, pero a fin de cuentas, creo que es solo otra forma de mal diseño. Continuar leyendo articulo en el foro Hijacking de Frames...

Leer Más

Google libera el Manual de Seguridad para el Navegador

Google publicó el Manual de Seguridad del navegador para el público en general. El documento des 60 páginas proporciona una amplia comparación de un amplio conjunto de características de seguridad y características de uso común en los navegadores, junto con útiles comentarios y sugerencias de aplicación para los desarrolladores que necesitan confiar en estos mecanismos. El texto proporciona a los desarrolladores de aplicaciones web, navegadores, y los investigadores de seguridad una guia de referencia a las principales propiedades de seguridad de los navegadores web.  La insuficiente comprensión de estas a menudo mal documentados características es un importante factor que contribuye a la prevalencia de varias clases de vulnerabilidades de seguridad. Acceder al Manual de Seguridad del Navegador El manual es nuevo (hace unas 10 horas lo publicaron) pero se espera que sea traducido a diferentes idiomas (de momento solo esta disponible en...

Leer Más

Recupera las contraseñas almacenadas en tu Navegador

Es común encontrar personas que guardan las contraseñas en su navegador favorito, por comodidad, pereza, etc… pero no toman en cuenta las precauciones que se deben tener a la hora de realizar esta acción, en este pequeño documento se mostrara por que no es apropiado guardar nuestras contraseñas en el navegador web y los diferentes métodos y programas utilizados para recuperar estas. Empezare por el navegador que domina el mercado, el Internet Explorer, aparte de ser el navegador más inseguro y atacado, es el que peor manejo hace de nuestras contraseñas almacenadas, no tiene ningún gestor para estas, ninguna clave maestra para codificarlas… muchos spyware roban fácilmente esta información con los riesgos para nuestra seguridad que esto implica, además existe una gran cantidad de aplicaciones que permite recuperar fácilmente estas contraseñas almacenadas, vamos a ver una de ellas llamada IE PassView. El programa es bien simple, no necesita instalación y con solo abrirlo nos muestra en texto plano todas las contraseñas almacenadas en el Internet Explorer, nos da la posibilidad de guardarlas en diferentes formatos, además de esto puede ser llamado desde línea de comandos y con algunos parámetros como /stext nombrearchivo.txt guardará automáticamente todas las claves en un archivo de texto sin que nos demos cuenta, dejando nuestras contraseñas a merced de cualquier persona. Recomendaciones: No usar Internet Explorer, existen muchas alternativas mejores y más seguras. Si quieres seguir usando Internet Explorer NO GUARDES TUS CLAVES EN EL, utiliza software para guardar tus contraseñas como el KeePass que es seguro y gratuito. Sigo con un gran favorito entre los cibernautas, el Mozilla Firefox, aunque este navegador es mucho mas seguro que el Internet Explorer, en su configuración por defecto también deja nuestras claves a cualquier curioso. Solo es necesario ir a Herramientas/Opciones/Seguridad/Contraseñas Guardadas, para que cualquier persona con acceso a nuestra maquina pueda ver nuestras contraseñas. También existe una pequeña aplicación que permite realizar esta tarea automáticamente, se llama PasswordFox y funciona de forma idéntica al IE PassView (lo fabrica la misma empresa), también puede funcionar con parámetros por lo cual resulta sencillo la creación de scripts que automaticen la tarea de guardar las contraseñas en un archivo de texto sin levantar sospechas. Recomendaciones: A diferencia del Internet Explorer el Mozilla Firefox si tiene un gestor de contraseñas y en el existe una opción llamada “Contraseña Maestra” si activamos esta opción nuestras contraseñas solo se mostraran cuando ingresemos esa contraseña que administra las demás, para activarla vamos a Herramientas/Opciones/Seguridad/ y activamos la opción Usar Contraseña Maestra. Otro navegador que ha dando mucho de que hablar es el Google Chrome, pero este tampoco se salva. Google Chrome también tiene...

Leer Más

Siguenos!

O Puedes Subscribete

ANTES DE

SALIRTE ...

NO TE

ARREPENTIRÁS

!Gracias¡

NO OLVIDES NUESTRAS REDES SOCIALES